NO-ACTION OPINION · 12029 비조치의견

중소 금융회사의 경우 CIO와 CISO 겸직 가능토록 CISO 자격요건 완화

금융안전과 · 2015-09-11

회신

출처 · 원문 발췌

불수용

□ (건의배경) 현행 전자금융거래법에 따르면 정보기술부문 보안을 총괄하여 책임질 정보보호최고책임자(CISO)를 총자산, 종업원 수 등을 감안하여 임원*으로 지정하고, CISO가 수행해야 하는 업무외의 다른 정보기술부문 업무를 겸직**하지 못하도록 규정되어 있으나,

* 총자산 2조원 이상이고, 상시 종업원 수가 300명 이상

** 총자산 10조원 이상이고, 상시 종업원 수가 1,000명 이상

ㅇ 중소규모 금융회사의 경우 CISO를 임원이 아닌자로 지정이 가능하고, CISO는 CISO의 수행업무외의 다른 정보기술 부문 업무(CIO업무)의 겸직이 가능

ㅇ 이에 따라 NH농협캐피탈*은 CISO 비임원급 선정 및 CISO의 CIO 겸직도 가능한 상황이지만 현재 CIO를 임원급으로 운영하고 있는 바, 현 CIO(임원급)는 관련법규에서 정하는 CISO 자격요건에 미달하여 부득이하게 전산팀장을 CISO로 별도 지정

* 총자산 2조 3800억원, 상시 종업원 수 230명(‘15.7월말 기준)

(참고) 현재 NH농협캐피탈은 정보기술부문의 조직(전산팀)이 경영관리조직에 소속되어 경영관리조직의 장이 CIO(임원급)를 맡고 있으며, 별도로 전담 정보기술부문의 상위조직으로 구성(실 또는 본부 단위)되어 있지 않음

ㅇ 따라서 임원급 CIO와 팀장급 CISO가 존재하는 불균형적인 조직구조로 운영되고 있으며, 전자금융감독규정 제8조의2에 따른 정보보호위원회 운영*에 있어 CISO 역할과 책임을 수행하는데 상당한 애로가 발생

* 제8조의2(정보보호위원회 운영)

① 금융회사 또는 전자금융업자는 중요 정보보호에 관한 사항을 심의·의결하는 정보보호위원회를 설치 운영하여야 한다.

② 정보보호위원회의 장은 정보보호최고책임자로 하며, 위원은 정보보호업무 관련 부서장, 전산운영 및 개발 관련 부서장, 준법업무 관련 부서의 장 등으로 구성한다.

③ 정보보호위원회는 다음 각 호의 사항을 심의·의결한다. : 생략

④ 정보보호최고책임자는 정보보호위원회 심의·의결사항을 최고경영자에게 보고하여야 한다.

⑤ 최고경영자는 특별한 사정이 없는 한 정보보호위원회의 심의·의결사항을 준수하여야 한다

□ (건의사항) 중소규모 금융회사의 경우 CISO 자격요건을 완화하여 CIO와 CISO의 실질적 겸직이 가능하도록 할 필요

ㅇ 중소규모 금융회사에서는 현실적으로 정보기술부문업무(CIO업무)의 상당부분이 정보보호업무(CISO업무)를 차지하고 있어서 CIO와 CISO의 업무역할 분리의 실익이 미미할 뿐만 아니라 운영상 비효율적

※ (관련법령 또는 지도) 전자금융거래법 제21조의 2(정보보호최고책임자 지정), 전자금융거래법 시행령 제 11조의 3(정보보호 최고책임자 지정대상 금융회사 등), 전자금융감독규정 제8조의2(정보보호위원회 운영)

□ 현행 전자금융거래법령이 정보보호최고책임자(CISO)의 자격요건을 규정하고 금융회사는 CISO를 반드시 선임토록 한 것은 전문적 지식과 경험을 갖춘 인사가 금융회사의 IT보안 등 관련 업무를 총괄토록 하여 금융회사의 보안 책임성을 강화하기 위함입니다.

ㅇ 따라서, 단순히 개별 기업의 조직구조상 자격요건을 충족하지 못하는 CIO가 CISO의 겸직을 하지 못한다고 하여 CISO의 자격요건을 완화하여 달라는 주장은 수용하기 곤란합니다.

□ 전자금융거래법령은 소규모 회사의 경우에는 CISO를 임원으로 선임하지 않아도 되며, CISO가 CIO 등의 업무를 겸직할 수 있게 할 수 있도록 하고 있으나,

ㅇ 이는 소규모 회사의 조직 경제상 한계 등을 고려하여 CISO 제도 운영의 탄력성을 부여한 것으로, 겸직과 자격요건은 별개문제이므로 CIO가 CISO를 겸직하더라도 그 자격요건은 준수해야 합니다.

법적 효력은 발행기관 원문에 있으며 본 페이지는 참고용입니다.